13、网络应用安全风险洞察与应对策略

网络应用安全风险洞察与应对策略

1. 重要安全标准概述

在当今数字化时代，网络应用安全至关重要，涉及多个重要的安全标准，这些标准从不同角度保障了各类业务的安全运行。

1.1 PCI - DSS

PCI - DSS是一个聚焦于IT安全要求的标准，同时也涉及组织内物理安全和政策相关的实施。从PCI - DSS的角度来看，Web应用安全是重要的考量因素。该标准除了要求强大的认证和授权机制、加密实施以及日志记录实施外，在要求6中还强调了安全开发实践。它明确强调需要开发并遵循安全的软件开发生命周期（SDLC）和变更管理流程，同时要求对面向公众的Web应用进行常见Web应用漏洞测试，如参照OWASP十大漏洞或类似标准。此外，该标准还涉及代码审查、漏洞评估以及Web应用防火墙的实施等问题。要求6适用于内部开发或外包软件开发支付应用的组织。

1.2 PA - DSS

PA - DSS是支付卡行业的另一个标准，是PCI - DSS的子集。由于许多商家、处理器或服务提供商所部署或使用的应用不支持PCI合规性，导致他们难以达到PCI标准，因此催生了PA - DSS。该标准适用于销售、分发或授权给第三方，且参与支付交易授权或结算周期的应用。PA - DSS的要求如下：
1. 不保留完整的磁条、卡验证代码或值、PIN块数据。
2. 保护存储的持卡人数据。
3. 提供安全的认证功能。
4. 记录支付应用活动。
5. 开发安全的支付应用。
6. 保护无线传输。
7. 测试支付应用以解决漏洞。
8. 促进安全的网络实施。
9. 持卡人数据绝不能存储在连接互联网的服务器上。 <